System zarządzania ryzykiem a system kontroli wewnętrznej Warszawa 10 Marca 2016 Robert Pusz Dyrektor Działu Ryzyka i projektu Solvency II
System zarządzania ryzykiem System zarządzania ryzykiem obejmuje co najmniej obszary: ocena ryzyka przyjmowanego do ubezpieczenia i tworzenie rezerw technicznoubezpieczeniowych dla celów wypłacalności, zarządzanie aktywami i zobowiązaniami, lokaty, w szczególności w instrumenty pochodne, zarządzanie płynnością i ryzykiem koncentracji, zarządzanie ryzykiem operacyjnym, reasekurację i inne techniki przenoszenia ryzyka. 2
System kontroli wewnętrznej Zakład wprowadza efektywny system kontroli wewnętrznej, który obejmuje: procedury administracyjne i księgowe, organizację kontroli wewnętrznej, odpowiednie ustalenia w zakresie raportowania na wszystkich szczeblach struktury organizacyjnej zakładu oraz funkcję zgodności z przepisami. 3
Funkcja Aktuarialna Trzy linie obrony I linia Operacje Biznesu - Zarządzanie ryzykiem w zgodzie z apetytem na ryzyko i limitami - ALM - Zarządzanie kapitałem - Taryfy i rezerwy - Ryzyko operacyjne - Reasekuracja II linia Funkcja Zarządzania Ryzykiem - Niezależność od operacji - Projektowanie i efektywność zarządzania ryzykiem - Model wewnętrzny - Monitoring ryzyka i raportowanie III linia Audyt wewnętrzny - Niezależność od operacji - Ocena kontroli wewnętrznej i systemu zarządzania - Zgodność ze strategią, politykami i procesami Źródło: Towers Watson 4
Elementy systemu zarządzania ryzykiem Strategia biznesowa Strategia ryzyka Analiza Kluczowych Ryzyk Profil ryzyka Apetyt na ryzyko Odpowiednie ryzyka Istotne ryzyka Walidacja modelu Środowisko kontrolne Pomiar Ryzyka niemierzalne Planowanie Pojemność na ryzyko Podejście ekonomiczne MVN Pojemność na ryzyko Scenariusze / testy stresu Raport ORSA Pojemność na ryzyko Walidacja modelu Profil ryzyka Ryzyka specyficzne Pętla informacji zwrotnej 5
Zadania kluczowych funkcji Funkcja zarządzania ryzykiem powinna być tak zorganizowana, aby ułatwić wdrożenie systemu zarządzania ryzykiem. Zakład zapewnia skuteczną funkcję audytu wewnętrznego, który obejmuje ocenę adekwatności i efektywności systemu kontroli wewnętrznej i innych elementów systemu zarządzania. Oczekiwania wobec członków zarządu (wytyczne EIOPA): Określenie apetytu na ryzyko oraz limitów tolerancji ryzyka Określanie zakresu i częstotliwości przeglądów wewnętrznych systemu zarządzania Dokumentowanie podejmowanych decyzji z wykorzystaniem informacji z systemu zarządzania ryzykiem Monitorowanie średnioterminowego planu zarządzania kapitałem 6
ICFR System kontroli wewnętrznej zawiera zasady kontroli wewnętrznej wokół raportowania finansowego (ICFR) i wynika z sekcji 404 Sarbanes-Oxley Act, 2002 (SOX) gwarantując najwyższą staranność i wiarygodność istotnego raportowania. Wymaga, aby we wszystkich krytycznych procesach zostały zidentyfikowane i wdrożone odpowiednie mechanizmy kontrolne zapewniające, że procesy te wykonywane są dokładnie, kompletnie i na czas. Zapewnia integralność oraz logiczność danych oraz poprawną techniczną implementację modeli kalkulacyjnych oraz procesu raportowania w obrębie kalkulacji kapitału narażonego na ryzyko ERC oraz MCEV. 7
ICFR (1/2) ELC (Entity Level Controls) mechanizmy kontrolne na poziomie całej organizacji; GCC (General Computer Controls) główne mechanizmy kontrolne odnoszące się do systemów IT; Księgowe zamknięcie kwartału i roku; Procesy obarczone wysokim ryzykiem inherentnym (np. inwestycje, instrumenty pochodne, składki, rezerwy, podatki, itp.), jeśli wynika to z lokalnych analiz; 8 8
ICFR (2/2) ELC - Entity Level Controls Mechanizmy kontrolne organizacji mające ogromny wpływ na infrastrukturę systemu kontroli wewnętrznej całej organizacji; pośrednio ograniczają ryzyko nieprawidłowego przedstawienia danych finansowych; pokrywają obszary: zarządzanie ryzykiem braku zgodności, przeciwdziałanie korupcji, organizacja i odpowiedzialność zarządu, rady nadzorczej i komitetów, zasady księgowe, planowanie finansowe, zarządzanie zasobami ludzkimi, przeciwdziałanie przestępstwom, audyt wewnętrzny. GCC - General Computer Controls Kontrole odnoszące się do tych systemów i aplikacji IT, które biorą udział w inicjowaniu, rejestrowaniu, procesowaniu i raportowaniu transakcji finansowych; ograniczają ryzyko nieprawidłowego przedstawienia danych finansowych; rodzaje kontroli IT kontrole generalne, kontrole aplikacyjne, kontrole użytkownika. 9 9
Zakres stosowania (scoping) Wybór jednostek Wybór kont księgowych Identyfikacja kluczowych procesów mających wpływ na raporty finansowe Wyznaczenie zakresu ogólnych kontroli IT (GCC) Ocena ryzyka w ramach GCC 10
Kryteria ryzyka dla wyboru procesów Wskaźnik wkładu w raportowanie finansowe Ryzyko związane z transakcjami Ryzyko związane z kompleksowością Poziom oceny eksperckiej Poziom czynności manualnych Historia zidentyfikowanych problemów Istotne zmiany Narażenie na przestępstwa finansowe Wpływ zewnętrznych czynników 11
Kryteria ryzyka dla wyboru procesów GCC Stopień narażenia systemów IT Historia zidentyfikowanych problemów Istotne zmiany Środowisko IT Brak kontroli na poziomie jednostki (ELC) 12
Raportowanie spójnie z wyceną rynkową MCEV/MVN Kontrole na poziomie organizacji (ELC) Wytyczne do stosowania, planowanie Zbieranie danych Wycena: modelowanie, inne estymacje Agregacja danych Analizy, raportowanie, ujawnienia Procesy wspierające IT oraz EUC 13
Wdrożenie Filaru I - wyzwania Potencjalne problemy przy wyznaczaniu wymogów kapitałowych zgodnie z formułą standardową: Dane Zbieranie konieczność zbierania danych z różnych części zakładu Braki brak niektórych wymaganych informacji Look Through Approach Niespójności brak spójności w różnych systemach czy departamentach Koszty IT ryzyko wysokich kosztów gdyby potrzebna była kompletna przebudowa systemów w np. hurtownie danych Brak automatyzacji ryzyko poświęcenia dużej ilości pracy i czasu na uspójnienie danych, walidację Następstwa procesów problemy w jednym podprocesie mogą wpłynąć na opóźnienia w całym procesie Powtarzalność wyników w przypadku konieczności ponownego przeliczenia Ograniczenia czasowe krótki czas na wygenerowanie raportów QRT 14 Brak wiarygodności jeśli proces nie jest ustrukturyzowany
Wdrożenie Filaru I - oczekiwania Potencjalne problemy przy wyznaczaniu wymogów kapitałowych zgodnie z formułą standardową: Ustalenie przepływu informacji ustalenie odpowiedzialności w ramach procesu przepływu danych, ich walidowania i wykorzystywania Wypełnienie arkuszy sprawozdawczych QRT z zebranych informacji Integracja z istniejącymi systemami IT automatyczne importy danych z poszczególnych komórek zakładu Łatwe uruchamianie przeliczeń w dowolnym momencie, na bazie zebranych informacji Pełna ścieżka audytowa konieczna do audytów wewnętrznych czy kontroli organu nadzoru Analizy what-if możliwość wykorzystania formuły standardowej do podejmowania decyzji biznesowych czy sprawdzania potencjalnych ograniczeń 15
Dziękuję za uwagę Robert Pusz Dyrektor Działu Ryzyka i projektu Solvency II robert.pusz@aegon.pl Tel. 795-140-380 16